現役のホワイトハッカーが指南 – 2014年は情報漏洩対策の転換期

12月11日(木)、マイナビ本社マイナビルーム2F-S(東京都千代田区)おいて、第4回マイナビニュースITサミット「大企業のための情報漏洩対策セミナー～情報漏洩が起こる事を想定した対策を講じる～」を開催する。

同イベントでは「権限のある人からの情報漏洩の防御方法と対処方法」と題し、セキュリティを専門とするネットエージェントの代表取締役社長であり、また自ら現役のホワイトハッカーとして活躍する杉浦隆幸氏が登壇。同氏は、企業の情報漏洩対策にとって2014年は転換期になったと指摘する。

今年、某大手通信教育企業が起こした大規模な情報漏洩事件では、権限を持つ派遣社員による犯行が原因であった。IT産業ではシステムの開発や運用を下請けに外注している企業が多く、この情報漏洩事件は産業構造を揺るがすほどの衝撃だったと杉浦隆幸氏は語る。

「これまでのシステムの運用・開発は、少なくとも社内の人間は信頼していました。しかし今後は、社内の正社員や派遣社員、業務委託社員に対しても、情報漏洩を防ぐ手立てを講じなくてはいけない時代になったのです」（杉浦氏）

杉浦氏はこれまでのセキュリティ対策とは視点を変える必要があると強調する。情報漏洩対策として、ログ管理を行っている企業も少なくはないだろう。しかし、単にログを取得していることと、使えるログを取得することはまったく意味合いが異なるという。

「ログ取得の目的は大きく分けて2つあります。1つは証拠を残すということと、もう1つは不正をすぐに検知することです。すぐに不正が検知できないのであれば、ログ取得の効果は半分しかないのです。たとえばWebサーバーのログを取得していても、今年話題となったHeartbleedやShellshockといった脆弱性に対しては、攻撃のログが残りません。セキュリティ対策は対策をすれば終わりというものではなく、最新の脅威に対して常に対処していく必要があるのです」（杉浦氏）

1,000件超の導入実績を誇るネットワークの監視カメラ「PacketBlackHole」の実力

大企業であればあるほどシステムの規模も大きくなるため、運用上のリスクも高い。特に個人情報や知的財産を多く取り扱う企業にとっては、情報漏洩事件が命取りになり兼ねない。いかにしてコストを抑えながらセキュリティを確保するかがポイントになるが、まずどんなところから手を打つべきなのだろうか。杉浦氏は、まずはセキュリティの現状を把握することから始めるべきだと主張する。

「現状を知っていないと、どういう対策を取ったらよいのか分かりません。また実態が見えてくればくるほど、事態は深刻であることが分かるでしょう。公表されていないだけで、企業からはさまざまな情報が漏れています。弊社のコンサルティングサービスでも、セキュリティ強化より、まずは実態を把握することを先にご提案しています」（杉浦氏）

実態を把握した上でどのような対策が必要となるのか。その答えの一つが、ネットエージェントの提供するネットワークの監視カメラ「PacketBlackHole」だという。PacketBlackHoleはネットワーク上の通信を監視し、情報漏洩や脅威からの攻撃を記録する。さらに強力な解析機能により、「いつ」「誰が」「どんな危険性のある」通信をしたのか、すぐに抽出することが可能だ。

「万が一、情報漏洩事件が起こったとしても、その証拠をすぐに見つけることができれば、大きな問題となる前に対処できます。逆にそれができないと、大きな情報漏洩事件へと発展してしまいます。PacketBlackHoleは、常に相手よりも優位に立ち続けるという、セキュリティの基本的な考え方を実現したセキュリティ対策ソリューションです」（杉浦氏）

PacketBlackHoleは官公庁や地方自治体、情報通信企業、金融系企業をはじめ1,000件を超える導入実績を誇っている。第4回マイナビニュースITサミット「大企業のための情報漏洩対策セミナー～情報漏洩が起こる事を想定した対策を講じる～」では、最新の企業リスクと、PacketBlackHoleを使ったセキュリティ対策を具体的に紹介する予定だ。情報漏洩対策に課題を持つ大企業の経営層や情報システム担当者は、ぜひセミナーに足を運んでみてはいかがだろうか。